火绒高级威胁防护规则

ismysky

顶起来导入了

bakaloli

谢谢分享

Frank404

大佬您好，请问这个是手动排除一下就可以了吗

1. 触犯规则：Suspicious.PowerShell.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
4. 操作结果：已阻止
   
5. 
   
6. 进程ID：1640
   
7. 操作进程：C:\Windows\System32\svchost.exe
   
8. 操作进程命令行：C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule
   
9. 父进程ID：904
   
10. 父进程：C:\Windows\System32\services.exe
    
11. 父进程命令行：C:\Windows\system32\services.exe

复制代码

fogang136

谢谢分享！收起来试一下。

Jerry.Lin

Frank404 发表于 2022-12-3 06:03
大佬您好，请问这个是手动排除一下就可以了吗

这个是什么计划任务触发的？

Frank404

Jerry.Lin 发表于 2022-12-4 02:48
这个是什么计划任务触发的？

请问一下这个要怎么去找，在网上搜了一下没搞懂要怎么看是什么计划任务触发的，请大佬赐教

zpy0206

大佬 WPS这个自动上传会报欸 有办法可以解决不？

【1】2022-12-05 18:49:32,高级防护,自定义防护,wpscloudsvr.exe触犯自定义防护规则, 已允许

触犯规则：Ransom.DoubleExt.A
操作类型：【创建】
操作文件：E:\File\WPS Cloud Files\1\.291513134\cachedata\599EB8CA03704FD49DB282138A1F7F64\写作思路.docx.qingtmp
操作结果：已允许

进程ID：5264
操作进程：D:\LenovoSoftstore\WPS Office\WPS Office\11.1.0.12763\office6\wpscloudsvr.exe
操作进程命令行："D:\LenovoSoftstore\WPS Office\WPS Office\11.1.0.12763\office6\wpscloudsvr.exe" /qingbangong /start_from=qingipc autologin
父进程ID：5112

Jerry.Lin

zpy0206 发表于 2022-12-5 04:52
大佬 WPS这个自动上传会报欸 有办法可以解决不？

【1】2022-12-05 18:49:32,高级防护,自定义防护, ...

如果WPS是装在默认路径不会有这个问题，装在别的地方就只能自己手动加排除

YorkWaugh

1. 触犯规则：Suspicious.PowerShell.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：7512
   
7. 操作进程：C:\Windows\System32\cmd.exe
   
8. 操作进程命令行：C:\Windows\system32\cmd.exe /d /s /c "PowerShell -Command "$processesWithTypes = Get-WmiObject Win32_Process | Where-Object {$_.Name -like 'Fiddler Everywhere*'} | Select-Object -Property ProcessId, @{Name='Type'; Expression={If ($_.CommandLine -Match '--type=(\S+)') {$Matches[1]} Else {'browser'}}};Get-WmiObject Win32_PerfFormattedData_PerfProc_Process | Where-Object {$_.Name -like 'Fiddler*'} | Select-Object -Property @{Name='type'; Expression={$id = $_.IDProcess; ($processesWithTypes | Where-Object {$_.ProcessId -eq $id}).Type}}, @{Name='processName'; Expression={$_.Name}}, @{Name='pid'; Expression={$_.IDProcess}}, @{Name='cpuUsage'; Expression={$_.PercentProcessorTime}}, @{Name='memoryUsage'; Expression={$_.WorkingSet / 1MB}} | ConvertTo-Json""
   
9. 父进程ID：14264
   
10. 父进程：D:\Program Files\Fiddler Everywhere\Fiddler Everywhere.exe
    
11. 父进程命令行："D:\Program Files\Fiddler Everywhere\Fiddler Everywhere.exe"

复制代码

1. 触犯规则：Suspicious.PowerShell.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：1536
   
7. 操作进程：C:\Windows\System32\cmd.exe
   
8. 操作进程命令行：C:\Windows\system32\cmd.exe /d /s /c "PowerShell -Command "$processesWithTypes = Get-WmiObject Win32_Process | Where-Object {$_.Name -like 'Fiddler Everywhere*'} | Select-Object -Property ProcessId, @{Name='Type'; Expression={If ($_.CommandLine -Match '--type=(\S+)') {$Matches[1]} Else {'browser'}}};Get-WmiObject Win32_PerfFormattedData_PerfProc_Process | Where-Object {$_.Name -like 'Fiddler*'} | Select-Object -Property @{Name='type'; Expression={$id = $_.IDProcess; ($processesWithTypes | Where-Object {$_.ProcessId -eq $id}).Type}}, @{Name='processName'; Expression={$_.Name}}, @{Name='pid'; Expression={$_.IDProcess}}, @{Name='cpuUsage'; Expression={$_.PercentProcessorTime}}, @{Name='memoryUsage'; Expression={$_.WorkingSet / 1MB}} | ConvertTo-Json""
   
9. 父进程ID：14264
   
10. 父进程：D:\Program Files\Fiddler Everywhere\Fiddler Everywhere.exe
    
11. 父进程命令行："D:\Program Files\Fiddler Everywhere\Fiddler Everywhere.exe"

复制代码

zhang_qiabc

挺好的要赞一个